frontend.js
// Пользователь уже вошёл логином и паролем
window.SvoyZnak.link({
  clientId:   'ВАШ_CLIENT_ID',
  externalId: currentUserId,     // ID в ВАШЕЙ базе
  onLinked: function (res) {
    // Тикет отправляем на СВОЙ бэкенд
    fetch('/api/svoyznak/confirm-link', {
      method: 'POST',
      headers: { 'Content-Type': 'application/json' },
      body: JSON.stringify({ linkTicket: res.linkTicket })
    });
  }
});

backend.js — секрет живёт только здесь
app.post('/api/svoyznak/confirm-link', requireAuth, async (req, res) => {
  const r = await fetch(SZ + '/api/link/confirm', {
    method: 'POST',
    headers: {
      'Content-Type': 'application/json',
      'X-API-Secret': API_SECRET     // НИКОГДА не в браузере
    },
    body: JSON.stringify({
      clientId:   CLIENT_ID,
      linkTicket: req.body.linkTicket,
      externalId: req.user.id        // ваш авторизованный пользователь
    })
  });
  res.json(await r.json());
});